Leyes de Privacidad de Datos Leyes de Estados Unidos

Cómo solicitar sus datos personales: derechos por estado

Verificado de forma independientePor Equipo Editorial de Recording LawPublicado 12 de septiembre de 202620 min de lectura

Verificado de forma independiente contra fuentes primarias (última auditoría: 12 de septiembre de 2026). · 37 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal

Cómo solicitar sus datos personales: derechos por estado

Una solicitud de datos personales en Estados Unidos comienza con dos preguntas: quién conserva los registros y qué ley cubre a ese titular. Las leyes estatales de privacidad regulan a ciertas empresas privadas. Los registros de salud, crédito, educación y gobierno usan vías federales o estatales distintas. La residencia por sí sola no crea un derecho ni somete a una organización a una ley.

Comparar los 50 estados y D.C. · Consultar las leyes citadas

Información verificada por última vez con las fuentes citadas el 11 de septiembre de 2026. Este artículo aún no ha sido revisado por un abogado con licencia.

Alcance jurisdiccional: Esta guía cubre vías federales seleccionadas y los 50 estados más el District of Columbia al 11 de septiembre de 2026. No establece elegibilidad, no enumera todas las exenciones ni clasifica las 25 jurisdicciones pendientes como carentes de derechos de acceso.

¿Qué ley estadounidense de acceso a datos se aplica?

La ley correcta suele depender del titular y del motivo por el que existe el registro. El perfil de un cliente minorista, un expediente hospitalario, un archivo crediticio, un registro escolar y un archivo de una agencia federal no comparten un procedimiento único. Primero identifique a la organización y su aviso de privacidad; después relacione los datos con una ley confirmada.

Monitor con un símbolo de escudo que representa la protección de datos

Una ley estatal integral puede ofrecer confirmación, acceso, corrección, eliminación o portabilidad cuando cubre tanto al individuo como al controlador. Cada ley define “controlador” y establece sus propios umbrales. Una persona puede quedar fuera de la definición de consumidor cuando actúa en un contexto laboral o comercial. Una organización puede quedar excluida por tamaño, sector, condición sin fines de lucro, función gubernamental u otra regla.

Las exenciones de datos también importan. Una ley puede excluir a toda una entidad, solo datos regulados por otra norma o un procesamiento concreto. Los datos financieros, médicos, de seguros, educativos, laborales y gubernamentales suelen requerir otra vía. Que una empresa tenga un formulario no demuestra que todos sus derechos se apliquen a toda solicitud.

Esta guía usa cuatro etiquetas. “Vigente” significa que el marco integral revisado ya entró en vigor. “Futuro” significa que fue promulgado pero sus derechos aún no operan. “Específico” identifica un derecho limitado que no equivale al acceso a todos los datos. “Sin clasificación” significa que esta revisión no clasifica un marco integral y no implica que falten otros derechos.

Los registros de salud, crédito, educación y gobierno usan vías distintas

Las leyes federales sectoriales responden preguntas diferentes y deben mantenerse separadas de la tabla estatal.

Registro y titular	Posible vía	Límite central de la fuente citada
Información de salud protegida de una entidad cubierta	45 C.F.R. § 164.524 y orientación de HHS	El acceso se refiere al conjunto designado de registros y tiene exclusiones
Archivo de una agencia de informes del consumidor	15 U.S.C. § 1681g	Se requiere solicitud e identificación apropiada
Registros educativos de una institución cubierta	34 C.F.R. § 99.10	Padres y estudiantes elegibles generalmente reciben inspección en no más de 45 días
Registros de una agencia federal	FOIA, 5 U.S.C. § 552	Trata registros de agencias y está sujeta a exenciones y procedimientos
Registros propios en un sistema federal	Privacy Act, 5 U.S.C. § 552a	Opera mediante sistemas de registros y exenciones

Persona usando una computadora portátil protegida con símbolos de candado

HIPAA generalmente exige que una entidad cubierta actúe sobre una solicitud cubierta dentro de 30 días calendario y permite una prórroga escrita de 30 días en las circunstancias indicadas. FCRA exige que una agencia de informes del consumidor, previa solicitud e identificación apropiada, revele la información del archivo según la ley. FERPA usa definiciones propias y un plazo máximo de 45 días.

FOIA trata los registros de agencias federales, mientras Privacy Act puede ofrecer acceso a registros de una persona dentro de un sistema federal. Las agencias estatales y locales siguen sus propias leyes. Una solicitud de registros gubernamentales como llamadas al 911 plantea una pregunta distinta a una solicitud dirigida a un controlador privado.

Dónde se aplica un derecho estatal integral de acceso

Al 11 de septiembre de 2026, esta gu?a identifica 20 marcos estatales integrales vigentes: California, Colorado, Connecticut, Delaware, Florida, Indiana, Iowa, Kentucky, Maryland, Minnesota, Montana, Nebraska, New Hampshire, New Jersey, Oregon, Rhode Island, Tennessee, Texas, Utah y Virginia. Es un conteo de vigencia, no una promesa de que todo residente o negocio esté cubierto.

Controles de privacidad mostrados en un teléfono inteligente

Alabama, Louisiana, Oklahoma y Vermont promulgaron marcos futuros. Alabama entra en vigor el 1 de mayo de 2027. Louisiana y Oklahoma entran en vigor el 1 de enero de 2027. El subcapítulo relevante de Vermont entra en vigor el 1 de enero de 2028 según Act 145. Una solicitud anterior no puede usar un derecho futuro como si ya estuviera vigente.

Nevada y Washington quedan en una categoría específica. El texto oficial recuperado de Nevada confirma una exclusión voluntaria para ciertas ventas por operadores en línea, con su propio plazo, no un derecho general de acceso. My Health My Data Act de Washington cubre datos de salud del consumidor, no toda categoría de datos personales.

Las preguntas comunes incluyen el rol del consumidor, ingresos o volumen de datos, actividad dirigida al estado y exenciones. Entidades gubernamentales, instituciones o datos financieros, entidades o información regulada por HIPAA, aseguradoras, organizaciones sin fines de lucro, educación superior y datos laborales reciben tratamientos distintos. El texto aplicable debe resolver cada elemento.

Florida muestra por qué se necesita precisión. Fla. Stat. § 501.702(9) cubre una entidad con fines de lucro que supera $1 billion en ingresos brutos globales anuales y cumple al menos una de tres ramas: al menos 50 percent de ingresos globales anuales por venta de publicidad en línea; operación del servicio especificado de altavoz inteligente o asistente de voz; u operación de una tienda de aplicaciones o plataforma de distribución con al menos 250,000 aplicaciones. También alcanza entidades dentro de la relación legal de control. Describir Florida como ampliamente aplicable omitiría esas condiciones.

Cómo presentar una solicitud verificable de acceso

Use el método indicado en el aviso de privacidad o instrucciones oficiales de la organización cubierta. Esta es una lista práctica derivada de disposiciones comunes, no una fórmula legal universal.

Identifique la cuenta, transacción, dispositivo, servicio u otra relación vinculada a los datos.
Nombre el derecho confirmado de acceso o confirmación y describa los datos con suficiente claridad.
Solicite la copia o formato portátil disponible bajo la ley aplicable.
Proporcione solo la autenticación razonablemente pedida mediante un canal seguro. Evite enviar documentos innecesarios por correo ordinario.
Conserve solicitud, fecha, comprobante, número de confirmación, autenticación, aviso de prórroga y respuesta.

Carpetas organizadas para localizar registros en una solicitud de acceso a datos

Los agentes autorizados y solicitudes parentales siguen reglas específicas. Un controlador puede indicar que no logra autenticar al solicitante o relacionarlo con los datos. Eso no siempre es una denegación final; quizá falte completar un método seguro de verificación.

Combinar teorías no relacionadas puede dificultar el trámite. Una solicitud hospitalaria, crediticia, escolar, gubernamental y de privacidad puede requerir destinatarios y pruebas diferentes. Si la organización invoca una exención o rechaza actuar, pida la razón escrita y las instrucciones de apelación exigidas por la ley aplicable.

Plazos de respuesta, prórrogas, copias y cargos

No existe un plazo nacional único. Muchas leyes integrales usan 45 días para la respuesta inicial y permiten 45 días adicionales cuando sea razonablemente necesario, por lo general con aviso y motivos dentro del período original. La ley determina cuándo comienza el plazo, si usa días calendario y qué constituye una respuesta completa.

Lector de huellas y tarjeta de acceso que representan la verificación de identidad

Iowa usa 90 días inicialmente bajo Iowa Code § 715D.3. Florida usa 45 días y permite una prórroga de 15 días cuando sea razonablemente necesaria y se avise a tiempo bajo Fla. Stat. § 501.706. El sistema de California tiene reglas propias sobre confirmación, verificación, frecuencia, período retrospectivo y divulgación.

Una confirmación de recibo no es la respuesta completa. Un aviso de prórroga no es necesariamente denegación. Algunas leyes permiten cobrar o rechazar solicitudes manifiestamente infundadas, excesivas, inviables o repetitivas, pero varían el texto y la carga. También cambian la frecuencia gratuita y el formato.

Registre la fecha de recepción y conserve la confirmación. Si la organización pide autenticación adicional, guarde el intercambio y la fecha de entrega. La cronología determina si ya procede una apelación o queja.

Qué hacer después de una denegación o falta de respuesta

Lea el motivo indicado antes de elegir la vía siguiente. Un controlador puede citar autenticación fallida, exención de entidad o datos, solicitudes excesivas, falta de control sobre los datos u otra razón legal. Un problema corregible de identidad puede resolverse por el canal seguro sin asumir una denegación definitiva.

Cuando exista apelación interna, siga el método indicado y conserve prueba. Florida exige un proceso visible similar al método original. Según Fla. Stat. § 501.707, el controlador debe dar resultado escrito y razones dentro de 60 días. La fuente también exige facilitar la vía legal de contacto cuando se deniega la apelación.

La futura ley de Vermont también establece un resultado en 60 días bajo § 2415d(d), pero su subcapítulo no entra en vigor hasta el 1 de enero de 2028. El texto vigente de Connecticut confirma 60 días, mientras el texto oficial recuperado de New Jersey confirma 45. Estos ejemplos no crean un plazo universal.

Sala de servidores que representa los sistemas donde se buscan los datos personales solicitados

Si se rechaza la apelación, use solo la vía del regulador, fiscal general, queja o tribunal respaldada por la ley. La autoridad de aplicación, subsanación y remedios privados varía. La guía para presentar una queja de privacidad ayuda a organizar el expediente, mientras la guía para pedir eliminación de datos trata otro derecho.

Derechos de acceso del consumidor en los 50 estados y DC

Cada sección enlaza una guía estatal en español. Las filas vigentes y futuras identifican solo el proceso y plazo respaldados por la autoridad citada. No establecen elegibilidad ni contienen todas las exenciones. Las filas específicas quedan separadas y las no clasificadas no afirman ausencia de ley.

Estado o D.C.	Marco y vigencia	Derecho, plazos y límites
Alabama	Marco integral futuro, desde 2027-05-01.	Alabama Personal Data Protection Act, Act 2026-552, Ala. Code § 8-44-5. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Alabama.
Alaska	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de Alaska para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Arizona	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de Arizona para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Arkansas	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de Arkansas para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
California	Marco integral vigente, desde 2020-01-01; edición de la ley vigente desde 2026-01-01.	California Consumer Privacy Act as amended, Cal. Civ. Code §§ 1798.100, 1798.110, 1798.115; implementing regulations. Respuesta: 45 días; posible prórroga: 45 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de California.
Colorado	Marco integral vigente, desde 2023-07-01.	Colorado Privacy Act, Colo. Rev. Stat. § 6-1-1306; 4 CCR 904-3. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 45 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Colorado.
Connecticut	Marco integral vigente, desde 2023-07-01.	Connecticut Data Privacy Act, Conn. Gen. Stat. § 42-518. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Connecticut.
Delaware	Marco integral vigente, desde 2025-01-01.	Delaware Personal Data Privacy Act, 6 Del. C. § 12D-104. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Delaware.
District of Columbia	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de District of Columbia para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Florida	Marco integral vigente, desde 2024-07-01.	Florida Digital Bill of Rights, Fla. Stat. §§ 501.705-.707. Respuesta: 45 días; posible prórroga: 15 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Florida.
Georgia	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de Georgia para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Hawaii	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de Hawaii para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Idaho	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de Idaho para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Illinois	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de Illinois para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Indiana	Marco integral vigente, desde 2026-01-01.	Indiana Consumer Data Protection Act, Ind. Code § 24-15-3-1. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Indiana.
Iowa	Marco integral vigente, desde 2025-01-01.	Iowa Consumer Data Protection Act, Iowa Code § 715D.3. Respuesta: 90 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Iowa.
Kansas	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de Kansas para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Kentucky	Marco integral vigente, desde 2026-01-01.	Kentucky Consumer Data Protection Act, KRS 367.3615. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Kentucky.
Louisiana	Marco integral futuro, desde 2027-01-01.	Louisiana Data Privacy Act, Act 502 (SB 386), La. R.S. 51:1780.3. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Louisiana.
Maine	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de Maine para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Maryland	Marco integral vigente, desde 2025-10-01.	Maryland Online Data Privacy Act, Md. Code, Commercial Law § 14-4605. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 45 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Maryland.
Massachusetts	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de Massachusetts para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Michigan	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de Michigan para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Minnesota	Marco integral vigente, desde 2025-07-31.	Minnesota Consumer Data Privacy Act, Minn. Stat. § 325M.13. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 45 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Minnesota.
Mississippi	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de Mississippi para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Missouri	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de Missouri para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Montana	Marco integral vigente, desde 2023-10-01.	Montana Consumer Data Privacy Act, Mont. Code Ann. § 30-14-2808. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Montana.
Nebraska	Marco integral vigente, desde 2025-01-01.	Nebraska Data Privacy Act, Neb. Rev. Stat. § 87-1107. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Nebraska.
Nevada	Derecho específico.	NRS 603A ofrece una exclusión voluntaria verificada para ciertas ventas de operadores en línea, no el derecho general de acceso comparado aquí. Consulte NRS 603A.340 creates a verified opt-out of covered sales, not the general access/confirmation right compared here y la guía de privacidad de Nevada.
New Hampshire	Marco integral vigente, desde 2025-01-01.	New Hampshire Data Privacy Act, RSA 507-H:4. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de New Hampshire.
New Jersey	Marco integral vigente, desde 2025-01-15.	New Jersey Data Privacy Act, N.J. Stat. §§ 56:8-166.7 y 56:8-166.10. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 45 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de New Jersey.
New Mexico	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de New Mexico para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
New York	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de New York para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
North Carolina	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de North Carolina para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
North Dakota	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de North Dakota para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Ohio	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de Ohio para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Oklahoma	Marco integral futuro, desde 2027-01-01.	Oklahoma consumer data privacy law, SB 546, Enrolled sections 2-4, to be codified at 75A O.S. §§ 301-303. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Oklahoma.
Oregon	Marco integral vigente, desde 2024-07-01.	Oregon Consumer Privacy Act, ORS 646A.574 and 646A.578. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 45 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Oregon.
Pennsylvania	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de Pennsylvania para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Rhode Island	Marco integral vigente, desde 2026-01-01.	Rhode Island Data Transparency and Privacy Protection Act, R.I. Gen. Laws §§ 6-48.1-5 and 6-48.1-6. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Rhode Island.
South Carolina	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de South Carolina para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
South Dakota	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de South Dakota para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Tennessee	Marco integral vigente, desde 2025-07-01.	Tennessee Information Protection Act, Tenn. Code Ann. § 47-18-3303. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Tennessee.
Texas	Marco integral vigente, desde 2024-07-01.	Texas Data Privacy and Security Act, Tex. Bus. & Com. Code § 541.051. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Texas.
Utah	Marco integral vigente, desde 2023-12-31.	Utah Consumer Privacy Act, Utah Code § 13-61-201. Respuesta: 45 días; posible prórroga: 45 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Utah.
Vermont	Marco integral futuro, desde 2028-01-01.	Vermont Data Privacy and Online Surveillance Act, Act 145 (S.71), 9 V.S.A. chapter 61A, enacted § 2415d consumer rights. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Vermont.
Virginia	Marco integral vigente, desde 2023-01-01.	Virginia Consumer Data Protection Act, Va. Code § 59.1-577. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Virginia.
Washington	Derecho específico.	Chapter 19.373 RCW permite acceso a ciertos datos de salud del consumidor, no a todos los datos personales. Consulte RCW 19.373.040 for consumer health data y la guía de privacidad de Washington.
West Virginia	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de West Virginia para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Wisconsin	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de Wisconsin para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.
Wyoming	Sin clasificación en esta comparación.	Este artículo no afirma que falte una ley. Use la guía de privacidad de Wyoming para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Para el panorama general, consulte leyes de privacidad de datos por estado y la guía para excluirse de corredores de datos.

Descargo de responsabilidad: Esta guía ofrece información general sobre vías de acceso a datos del consumidor al 11 de septiembre de 2026. La cobertura depende del solicitante, residencia, organización, datos, contexto, umbrales, exenciones y fecha. No es asesoramiento legal. Consulte la ley oficial vigente y el aviso de privacidad antes de confiar en un plazo o remedio. Consulte a un abogado con licencia en la jurisdicción pertinente para asesoramiento sobre un caso específico.

Sobre el autor: El equipo editorial de RecordingLaw investiga leyes de privacidad y grabación mediante estatutos y materiales oficiales.

Última actualización: 11 de septiembre de 2026.

Preguntas frecuentes

¿Es válida una solicitud de acceso en Estados Unidos?

Puede serlo cuando una ley estatal integral o una ley federal sectorial cubre al solicitante, titular y datos. Estados Unidos no tiene un derecho o procedimiento universal.

¿Cuánto tiempo tiene una empresa para responder?

Muchos estados usan 45 días y pueden permitir prórroga, pero Iowa usa 90 días inicialmente y Florida permite 15 días adicionales después de 45. Controla la ley aplicable.

¿Puede una empresa verificar mi identidad?

Los procesos estatales generalmente contemplan autenticación. Use el método seguro y entregue solo información razonablemente necesaria para relacionarlo con los datos.

¿Todos los estados ofrecen acceso general?

Esta comparación identifica 20 marcos vigentes, cuatro futuros y dos específicos. Deja 25 jurisdicciones sin clasificar y no afirma que falten otros derechos.

Actualizaciones

12 de septiembre de 2026

Verificado de forma independiente contra las fuentes primarias citadas

La ley detrás de este artículo

Este artículo se apoya en las disposiciones legales a continuación, conservadas en nuestro propio registro jurídico y obtenidas de la fuente oficial. Toque una sección para leer el texto vigente.

Code of Federal Regulations Title 45

§ 164.524Access of individuals to protected health information.Vigentecitada en 25 de nuestros artículos

(a) Standard: Access to protected health information —(1) Right of access. Except as otherwise provided in paragraph (a)(2) or (a)(3) of this section, an individual has a right of access to inspect and obtain a copy of protected health information about the individual in a designated record set, for as long as the protected health information is maintained in the designated record set, except for: (i) Psychotherapy notes; and (ii) Information compiled in reasonable anticipation of, or for use in, a civil, criminal, or administrative action or proceeding. (2) Unreviewable grounds for denial. A covered entity may deny an individual access without providing the individual an opportunity for review, in the following circumstances. (i) The protected health information is excepted from the right of access by paragraph (a)(1) of this section.

Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en ecfr.gov

Citada en 88 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2026

En los tribunales (resumen editorial, verificado de forma independiente):Webb v. Smart Document Solutions, LLC (2007) sostuvo que la tarifa reducida basada en costos de la sección 164.524(c)(4) aplica solo cuando el propio individuo solicita sus expedientes, no un bufete que actúa como su agente. Ciox Health, LLC v. Hargan (2020) anuló la guía de 2016 que extendía esa tarifa a las instrucciones dirigidas a terceros.

Resoluciones que citan esta sección en nuestra colección:

Webb v. Smart Document Solutions, LLC (Court of Appeals for the Ninth Circuit 2007, 499 F.3d 1078)✓Un bufete pidió los expedientes hospitalarios de su cliente y le cobraron la tarifa más alta para terceros; el Noveno Circuito sostuvo que el límite de tarifa basada en costos de la Sección 164.524(c)(4) aplica solo cuando el individuo o su representante personal lo solicita, no un abogado que actúa como agente.
Evenson v. Hartford Life & Annuity Insurance (District Court, M.D. Florida 2007, 244 F.R.D. 666)✓Una terapeuta se negó a entregar sus notas de psicoterapia bajo citación, invocando la exclusión de esas notas del derecho de acceso del paciente en la Sección 164.524(a)(1); el tribunal sostuvo que esa exclusión rige solo el acceso individual y no el descubrimiento de pruebas, y ordenó entregarlas.
Ciox Health, LLC v. Hargan (District Court, District of Columbia 2020)“…fee that can be charged for such production. See generally 45 C.F.R. § 164.524. For requests brought by an individual…”

Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.

United States Code Title 15

§ 1681gDisclosures to consumersVigentecitada en 4 de nuestros artículos

(a) Information on file; sources; report recipients Every consumer reporting agency shall, upon request, and subject to section 1681h(a)(1) of this title, clearly and accurately disclose to the consumer: (1) All information in the consumer’s file at the time of the request, except that— (A) if the consumer to whom the file relates requests that the first 5 digits of the social security number (or similar identification number) of the consumer not be included in the disclosure and the consumer reporting agency has received appropriate proof of the identity of the requester, the consumer reporting agency shall so truncate such number in such disclosure; and (B) nothing in this paragraph shall be construed to require a consumer reporting agency to disclose to a consumer any information concerning credit scores or any other risk scores or predictors relating to the consumer.

Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en uscode.house.gov

Citada en 271 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2026

Resoluciones que citan esta sección en nuestra colección:

Sandra Cortez v. Trans Union (Court of Appeals for the Third Circuit 2010, 617 F.3d 688)“…rify information.”).25 C. Trans Union’s Liability Under 15 U.S.C. § 1681g 15 U.S.C. § 1681g(a) states in…”
Renie Guimond v. Trans Union Credit Information Company (Court of Appeals for the Ninth Circuit 1995, 45 F.3d 1329)“…and willfully 1) violated 15 U.S.C. § 1681e(b); 2) violated 15 U.S.C. § 1681g(a)(2); 3) violated 15 U.S.C. § 1681i(c)…”
John Shaw v. Experian Information Solutions (Court of Appeals for the Ninth Circuit 2018, 891 F.3d 749)“…U.S.C. § 1681i; and (3) a file disclosure claim pursuant to 15 U.S.C. § 1681g. They requested damages pursuant to 15 U…”

Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.

Code of Federal Regulations Title 34

§ 99.10What rights exist for a parent or eligible student to inspect and review education records?Vigentecitada en 2 de nuestros artículos

(a) Except as limited under § 99.12, a parent or eligible student must be given the opportunity to inspect and review the student's education records. This provision applies to— (1) Any educational agency or institution; and (2) Any State educational agency (SEA) and its components. (i) For the purposes of subpart B of this part, an SEA and its components constitute an educational agency or institution. (ii) An SEA and its components are subject to subpart B of this part if the SEA maintains education records on students who are or have been in attendance at any school of an educational agency or institution subject to the Act and this part. (b) The educational agency or institution, or SEA or its component, shall comply with a request for access to records within a reasonable period of time, but not more than 45 days after it has received the request. (c) The educational agency or institution, or SEA or its component shall respond to reasonable requests for explanations and interpretations of the records.

Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en ecfr.gov

United States Code Title 5

§ 552Public information; agency rules, opinions, orders, records, and proceedingsVigentecitada en 38 de nuestros artículos

Each agency shall make available to the public information as follows: Each agency shall separately state and currently publish in the Federal Register for the guidance of the public— descriptions of its central and field organization and the established places at which, the employees (and in the case of a uniformed service, the members) from whom, and the methods whereby, the public may obtain information, make submittals or requests, or obtain decisions; statements of the general course and method by which its functions are channeled and determined, including the nature and requirements of all formal and informal procedures available; rules of procedure, descriptions of forms available or the places at which forms may be obtained, and instructions as to the scope and contents of all papers, reports, or examinations; substantive rules of general applicability adopted as authorized by law, and statements of general policy or interpretations of general applicability formulated and adopted by the agency; and each amendment, revision, or repeal of the foregoing.

Texto oficial (extracto) · verificado el 2026-09-02 · Lea el texto completo en nuestra biblioteca legal · Verifique en uscode.house.gov

Citada en 11,434 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2026

En los tribunales (resumen editorial, verificado de forma independiente):United States Department of Justice v. Reporters Committee for Freedom of the Press (1989) sostuvo, de forma categórica, que divulgar el historial penal de un particular a un tercero es una invasión injustificada de la privacidad bajo la Excepción 7(C). Consumer Product Safety Commission v. GTE Sylvania, Inc. (1980) aplicó la Excepción 3, 552(b)(3).

Resoluciones que citan esta sección en nuestra colección:

Alyeska Pipeline Service Co. v. Wilderness Society (Supreme Court of the United States 1975, 421 U.S. 240)“…Pub. L. 93-502, § 1 (b) (2), 88 Stat. 1561 (amending 5 U. S. C. § 552 (a)); Packers and Stockyards Act, 42…”
Consumer Product Safety Commission v. GTE Sylvania, Inc. (Supreme Court of the United States 1980, 447 U.S. 102)✓Grupos de consumidores pidieron bajo FOIA los informes de accidentes que los fabricantes habían entregado a la CPSC como confidenciales; la Corte sostuvo que el artículo 6(b)(1) de la Consumer Product Safety Act se aplica a las solicitudes FOIA y que sus criterios caen dentro de la Exención 3, 5 U.S.C. § 552(b)(3).
Taylor v. Sturgell (Supreme Court of the United States 2008, 553 U.S. 880)✓Un aficionado a las aeronaves antiguas presentó una solicitud FOIA de registros de la FAA después de que fracasara la demanda idéntica de un amigo; la Corte rechazó la preclusión por 'representación virtual' y leyó el § 552(a)(3)(A) como una orden de entregar los registros a la persona solicitante, no al público en general.

Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.

§ 552aRecords maintained on individualsVigentecitada en 4 de nuestros artículos

For purposes of this section— the term “agency” means agency as defined in section 552(e) 1  See References in Text note below. of this title; the term “individual” means a citizen of the United States or an alien lawfully admitted for permanent residence; the term “maintain” includes maintain, collect, use, or disseminate; the term “record” means any item, collection, or grouping of information about an individual that is maintained by an agency, including, but not limited to, his education, financial transactions, medical history, and criminal or employment history and that contains his name, or the identifying number, symbol, or other identifying particular assigned to the individual, such as a finger or voice print or a photograph; the term “system of records” means a group of any records under the control of any agency from which information is retrieved by the name of the individual or by some identifying number, symbol, or other identifying particular assigned to the individual; the term “statistical record” means a record in a system of records maintained for statistical research or reporting purposes only and not used in whole or in part in making any determination about…

Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en uscode.house.gov

Citada en 3,701 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2026

Resoluciones que citan esta sección en nuestra colección:

Siegert v. Gilley (Supreme Court of the United States 1991, 500 U.S. 226)“…n that Bartel had violated the federal Privacy Act of 1974, 5 U. S. C. § 552a, during his previous tenure with the FA…”
United States Department of Justice v. Reporters Committee for Freedom of the Press (Supreme Court of the United States 1989, 489 U.S. 749)“…terized information is the Privacy Act of 1974, codified at 5 U. S. C. § 552a (1982 ed. and Supp. V). The Privacy Act…”
Department of the Air Force v. Rose (Supreme Court of the United States 1976, 425 U.S. 352)“…ngress’ recent manifest concern in the Privacy Act of 1974, 5 U. S. C. § 552a (1970 ed.; Supp. Y), for “governmental…”

Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.

Revised Code of Washington

§ 19.373.040Consumer rights and requests—Refusal—Appeal.Vigentecitada en 4 de nuestros artículos

(1)(a) Except as provided in subsection (2) of this section, beginning March 31, 2024, a consumer has the right to confirm whether a regulated entity or a small business is collecting, sharing, or selling consumer health data concerning the consumer and to access such data, including a list of all third parties and affiliates with whom the regulated entity or the small business has shared or sold the consumer health data and an active email address or other online mechanism that the consumer may use to contact these third parties. (b) A consumer has the right to withdraw consent from the regulated entity's or the small business's collection and sharing of consumer health data concerning the consumer. (c) A consumer has the right to have consumer health data concerning the consumer deleted and may exercise that right by informing the regulated entity or the small business of the consumer's request for deletion.

Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en app.leg.wa.gov

California Civil Code

§ 1798.100Vigentecitada en 13 de nuestros artículos

General Duties of Businesses that Collect Personal Information (a) A business that controls the collection of a consumer’s personal information shall, at or before the point of collection, inform consumers of the following: (1) The categories of personal information to be collected and the purposes for which the categories of personal information are collected or used and whether that information is sold or shared. A business shall not collect additional categories of personal information or use personal information collected for additional purposes that are incompatible with the disclosed purpose for which the personal information was collected without providing the consumer with notice consistent with this section. (2) If the business collects sensitive personal information, the categories of sensitive personal information to be collected and the purposes for which the categories of sensitive personal information are collected or used, and whether that information is sold or shared.

Texto oficial (extracto) · verificado el 2026-08-31 · Lea el texto completo en nuestra biblioteca legal · Verifique en leginfo.legislature.ca.gov

Citada en 36 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2026

Resoluciones que citan esta sección en nuestra colección:

Untitled California Attorney General Opinion (California Attorney General Reports 2022)“…ROUND The California Consumer Privacy Act of 2018 (Civil Code, §§ 1798.100 et seq.) is the first law of its kind i…”
Troester v. Starbucks Corporation (California Supreme Court 2018, 235 Cal. Rptr. 3d 820)“…he consumer law context. (See Consumer Privacy Act of 2018, Civ. Code, § 1798.100 et seq. (added by Stats. 2018, ch. 55,…”
Hajny v. Volkswagen Group of America CA1/1 (California Court of Appeal 2024)“…ions of the California Consumer Privacy Act of 2018 (CCPA), Civil Code section 1798.100 et seq. Shortly after Wynne filed…”

Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.

§ 1798.110Vigentecitada en 2 de nuestros artículos

Consumers’ Right to Know What Personal Information is Being Collected. Right to Access Personal Information (a) A consumer shall have the right to request that a business that collects personal information about the consumer disclose to the consumer the following: (1) The categories of personal information it has collected about that consumer. (2) The categories of sources from which the personal information is collected. (3) The business or commercial purpose for collecting, selling, or sharing personal information. (4) The categories of third parties to whom the business discloses personal information. (5) The specific pieces of personal information it has collected about that consumer.

Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en leginfo.legislature.ca.gov

§ 1798.115Vigentecitada en 2 de nuestros artículos

Consumers’ Right to Know What Personal Information is Sold or Shared and to Whom (a) A consumer shall have the right to request that a business that sells or shares the consumer’s personal information, or that discloses it for a business purpose, disclose to that consumer: (1) The categories of personal information that the business collected about the consumer. (2) The categories of personal information that the business sold or shared about the consumer and the categories of third parties to whom the personal information was sold or shared, by category or categories of personal information for each category of third parties to whom the personal information was sold or shared. (3) The categories of personal information that the business disclosed about the consumer for a business purpose and the categories of persons to whom it was disclosed for a business purpose.

Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en leginfo.legislature.ca.gov

Colorado Revised Statutes, Title 6: Consumer and Commercial Affairs

§ 6-1-1306Consumer personal data rightsVigentecitada en 5 de nuestros artículos

(1) Consumers may exercise the following rights by submitting a request using the methods specified by the controller in the privacy notice required under section 6-1-1308 (1)(a). The method must take into account the ways in which consumers normally interact with the controller, the need for secure and reliable communication relating to the request, and the ability of the controller to authenticate the identity of the consumer making the request. Controllers shall not require a consumer to create a new account in order to exercise consumer rights pursuant to this section but may require a consumer to use an existing account. A consumer may submit a request at any time to a controller specifying which of the following rights the consumer wishes to exercise: (a) Right to opt out. (I) A consumer has the right to opt out of the processing of personal data concerning the consumer for purposes of: (A) Targeted advertising; (B) The sale of personal data; or (C) Profiling in furtherance of decisions that produce legal or similarly significant effects concerning a consumer.

Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en olls.info

Connecticut General Statutes, Title 42 (Business, Selling, Trading and Collection Practices), Chapter 743jj

§ 42-518Consumers' rights. Compliance by Controllers. Appeals.Vigentecitada en 5 de nuestros artículos

(a) A consumer shall have the right to: (1) Confirm whether or not a controller is processing the consumer's personal data and access such personal data, unless such confirmation or access would require the controller to reveal a trade secret; (2) correct inaccuracies in the consumer's personal data, taking into account the nature of the personal data and the purposes of the processing of the consumer's personal data; (3) delete personal data provided by, or obtained about, the consumer; (4) obtain a copy of the consumer's personal data processed by the controller, in a portable and, to the extent technically feasible, readily usable format that allows the consumer to transmit the data to another controller without hindrance, where the processing is carried out by automated means, provided such controller shall not be required to reveal any trade secret; and (5) opt out of the processing of the personal data for purposes of (A) targeted advertising, (B) the sale of personal data, except as provided in subsection (b) of section 42-520, or (C) profiling in furtherance of solely automated decisions that produce legal or similarly significant effects concerning the consumer.

Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en cga.ct.gov

Delaware Code, Title 6 (Commerce and Trade), Chapter 012d (Delaware Personal Data Privacy Act)

§ 12D-104Consumer personal data rights.Vigentecitada en 5 de nuestros artículos

(a) A consumer has the right to do all of the following: (1) Confirm whether a controller is processing the consumer’s personal data and access such personal data, unless such confirmation or access would require the controller to reveal a trade secret. (2) Correct inaccuracies in the consumer’s personal data, taking into account the nature of the personal data and the purposes of the processing of the consumer’s personal data. (3) Delete personal data provided by, or obtained about, the consumer. (4) Obtain a copy of the consumer’s personal data processed by the controller, in a portable and, to the extent technically feasible, readily-usable format that allows the consumer to transmit the data to another controller without hindrance, where the processing is carried out by automated means, provided such controller shall not be required to reveal any trade secret. (5) Obtain a list of the categories of third parties to which the controller has disclosed the consumer’s personal data. (6) Opt out of the processing of the personal data for purposes of any of the following: a. Targeted advertising. b. The sale of personal data, except as provided in § 12D-106(b) of this title.

Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en delcode.delaware.gov

Florida Statutes

§ 501.702Definitions.Vigentecitada en 6 de nuestros artículos

As used in this part, the term:(1) “Affiliate” means a legal entity that controls, is controlled by, or is under common control with another legal entity or that shares common branding with another legal entity. For purposes of this subsection, the term “control” or “controlled” means any of the following:(a) The ownership of, or power to vote, more than 50 percent of the outstanding shares of any class of voting security of a company. (b) The control in any manner over the election of a majority of the directors or of individuals exercising similar functions. (c) The power to exercise controlling influence over the management of a company. (2) “Aggregate consumer information” means information that relates to a group or category of consumers from which the identity of an individual consumer has been removed and is not reasonably capable of being directly or indirectly associated or linked with any consumer, household, or device. The term does not include information about a group or category of consumers used to facilitate targeted advertising or the display of ads online. The term does not include personal information that has been deidentified.

Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en leg.state.fl.us

§ 501.706Controller response to consumer requests.Vigentecitada en 4 de nuestros artículos

(1) Except as otherwise provided by this part, a controller shall comply with a request submitted by a consumer to exercise the consumer’s rights pursuant to s. 501.705, as provided in this section. (2) A controller shall respond to the consumer request without undue delay, which may not be later than 45 days after the date of receipt of the request. The controller may extend the response period once by an additional 15 days when reasonably necessary, taking into account the complexity and number of the consumer’s requests, so long as the controller informs the consumer of the extension within the initial 45-day response period, together with the reason for the extension. (3) If a controller cannot take action regarding the consumer’s request, the controller must inform the consumer without undue delay, which may not be later than 45 days after the date of receipt of the request, of the justification for the inability to take action on the request and provide instructions on how to appeal the decision in accordance with s. 501.707. A controller is not required to comply with a consumer request submitted under s. 501.705 if the controller cannot authenticate the request.

Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en leg.state.fl.us

§ 501.707Appeal.Vigentecitada en 3 de nuestros artículos

(1) A controller shall establish a process for a consumer to appeal the controller’s refusal to take action on a request within a reasonable period of time after the consumer’s receipt of the decision under s. 501.706(3). (2) The appeal process must be conspicuously available and similar to the process for initiating action to exercise consumer rights by submitting a request under s. 501.705. (3) A controller shall inform the consumer in writing of any action taken or not taken in response to an appeal under this section within 60 days after the date of receipt of the appeal, including a written explanation of the reason or reasons for the decision.

Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en leg.state.fl.us

Indiana Code, TITLE 24. TRADE REGULATION

§ 24-15-3-1Personal data; consumer rights; consumer's request to controller; compliance by controller; consumer's right to appealVigentecitada en 6 de nuestros artículos

Sec. 1. (a) A consumer may invoke one (1) or more rights set forth in subsection (b) by submitting to a controller a request specifying the rights the consumer wishes to invoke. A known child's parent or legal guardian may invoke on behalf of the child one (1) or more rights set forth in subsection (b) with respect to the processing of personal data belonging to the known child by submitting to a controller a request specifying the rights the consumer wishes to invoke on behalf of the child. Except as provided in IC 24-15-7-1(c) and IC 24-15-7-2, and subject to any limitations or conditions set forth in subsections (b) and (c), a controller shall comply with an authenticated consumer request to exercise a right set forth in subsection (b). (b) A consumer has the following rights: (1) To confirm whether or not a controller is processing the consumer's personal data and, subject to the limitations set forth in subdivision (4), to access such personal data.

Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en iga.in.gov

Kentucky Revised Statutes, Chapter 367: CONSUMER PROTECTION

§ 367.3615Consumer rights request -- Controller compliance -- Requirements -- Appeal processVigentecitada en 7 de nuestros artículos

(1) A consumer may invoke the consumer rights authorized pursuant to this section at any time by submitting a request to a controller, via the means specified by the controller pursuant to KRS 367.3617, specifying the consumer rights the consumer wishes to invoke. A child's parent or legal guardian may invoke such consumer rights on behalf of the child regarding processing personal data belonging to the child. (2) A controller shall comply with an authenticated consumer request to exercise the right to: (a) Confirm whether or not a controller is processing the consumer's personal data and to access the personal data, unless the confirmation and access would require the controller to reveal a trade secret; (b) Correct inaccuracies in the consumer's personal data, taking into account the nature of the personal data and the purposes of processing the data; (c) Delete personal data provided by or obtained about the consumer; (d) Obtain a copy of the consumer's personal data that the consumer previously provided to the controller in a portable and, to the extent technically practicable, readily usable format that allows the consumer to transmit the data to another controller…

Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en apps.legislature.ky.gov

Minnesota Statutes, Chapter 325M: CONSUMER DIGITAL AND DATA PRIVACY

§ 325M.13RESPONSIBILITY ACCORDING TO ROLEVigentecitada en 2 de nuestros artículos

(a) Controllers and processors are responsible for meeting the respective obligations established under sections 325M.10 to 325M.21. (b) Processors are responsible under sections 325M.10 to 325M.21 for adhering to the instructions of the controller and assisting the controller to meet the controller's obligations under sections 325M.10 to 325M.21. Assistance under this paragraph shall include the following: (1) taking into account the nature of the processing, the processor shall assist the controller by appropriate technical and organizational measures, insofar as this is possible, for the fulfillment of the controller's obligation to respond to consumer requests to exercise their rights pursuant to section 325M.14; and (2) taking into account the nature of processing and the information available to the processor, the processor shall assist the controller in meeting the controller's obligations in relation to the security of processing the personal data and in relation to the notification of a breach of the security of the system pursuant to section 325E.61, and shall provide information to the controller necessary to enable the controller to conduct and document any data…

Texto oficial (extracto) · verificado el 2026-07-29 · Lea el texto completo en nuestra biblioteca legal · Verifique en revisor.mn.gov

Montana Code Annotated, Title 30

§ 30-14-2808Consumer Personal Data -- Opt-Out -- Compliance -- AppealsVigentecitada en 6 de nuestros artículos

30-14-2808. Consumer personal data -- opt-out -- compliance -- appeals. (1) A consumer must have the right to: (a) confirm whether a controller is processing the consumer's personal data and access the consumer's personal data, unless such confirmation or access would require the controller to reveal a trade secret; (b) correct inaccuracies in the consumer's personal data, considering the nature of the personal data and the purposes of the processing of the consumer's personal data; (c) delete personal data about the consumer; (d) obtain a copy of the consumer's personal data previously provided by the consumer to the controller in a portable and, to the extent technically feasible, readily usable format that allows the consumer to transmit the personal data to another controller without hindrance when the processing is carried out by automated means, provided the controller is not required to reveal any trade secret; and (e) opt out of the processing of the consumer's personal data for the purposes of: (i) targeted advertising; (ii) the sale of the consumer's personal data, except as provided in 30-14-2812(2); or (iii) profiling in furtherance of automated decisions that…

Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en mca.legmt.gov

Nebraska Revised Statutes, Chapter 87: TRADE PRACTICES

§ 87-1107Consumer rights; request to exerciseVigentecitada en 5 de nuestros artículos

(1) A consumer may at any time submit a request to a controller specifying the consumer rights the consumer wishes to exercise. With respect to the processing of personal data belonging to a known child, a parent or legal guardian of the child may exercise the consumer rights on behalf of the known child. (2) A controller shall comply with an authenticated consumer request to exercise the right to: (a) Confirm whether a controller is processing the consumer's personal data and to access the personal data; (b) Correct inaccuracies in the consumer's personal data, taking into account the nature of the personal data and the purposes of the processing of the consumer's personal data; (c) Delete personal data provided by or obtained about the consumer; (d) If the data is available in a digital format and the processing is completed by automated means, obtain a copy of the consumer's personal data that the consumer previously provided to the controller in a portable and, to the extent technically feasible, readily usable format that allows the consumer to transmit the data to another controller without hindrance; or (e) Opt out of the processing of the personal data for purposes…

Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en nebraskalegislature.gov

New Hampshire Revised Statutes Annotated, TITLE LII ACTIONS, PROCESS, AND SERVICE OF PROCESS, CHAPTER 507-H EXPECTATION OF PRIVACY

§ 507-H:4Consumer Expectation of Privacy.Vigentecitada en 6 de nuestros artículos

I. A consumer shall have the right to: (a) Confirm whether or not a controller is processing the consumer's personal data and access such personal data, unless such confirmation or access would require the controller to reveal a trade secret; (b) Correct inaccuracies in the consumer's personal data, taking into account the nature of the personal data and the purposes of the processing of the consumer's personal data; (c) Delete personal data provided by, or obtained about, the consumer; (d) Obtain a copy of the consumer's personal data processed by the controller, in a portable and, to the extent technically feasible, readily usable format that allows the consumer to transmit the data to another controller without hindrance, where the processing is carried out by automated means, provided such controller shall not be required to reveal any trade secret; and (e) Opt-out of the processing of the personal data for purposes of targeted advertising, the sale of personal data, except as provided in RSA 507-H:6, or profiling in furtherance of solely automated decisions that produce legal or similarly significant effects concerning the consumer. II.

Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en gc.nh.gov

New Jersey Statutes (Unannotated)

§ 56:8-166.10Consumer rights, personal data.Vigentecitada en 5 de nuestros artículos

7. a. A consumer shall have the right to: (1) confirm whether a controller processes the consumer's personal data and accesses such personal data, provided that nothing in this paragraph shall require a controller to provide the data to the consumer in a manner that would reveal the controller's trade secrets; (2) correct inaccuracies in the consumer's personal data, taking into account the nature of the information and the purposes of the processing of the information; (3) delete personal data concerning the consumer; (4) obtain a copy of the consumer's personal data held by the controller in a portable and, to the extent technically feasible, readily usable format that allows the consumer to transmit the data to another entity without hindrance, provided that nothing in this paragraph shall require a controller to provide the data to the consumer in a manner that would reveal the controller's trade secrets; and (5) opt out of the processing of personal data for the purposes of (a) targeted advertising; (b) the sale of personal data; or (c) profiling in furtherance of decisions that produce legal or similarly significant effects concerning the consumer. b.

Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en lis.njleg.state.nj.us

§ 56:8-166.7Personal data; controller, verified request, consumer, response period.Vigentecitada en 4 de nuestros artículos

4. a. A controller that receives a verified request from a consumer shall provide a response to the consumer within 45 days of the controller's receipt of the request. The controller may extend the response period by 45 additional days where reasonably necessary, considering the complexity and number of the consumer's requests, provided that the controller informs the consumer of any such extension within the initial 45-day response period and the reason for the extension and shall provide the information for all disclosures of personal data that occurred in the prior 12 months. b. This section shall not apply to personal data collected prior to the effective date of P.L.2023, c.266 (C.56:8-166.4 et seq.) unless the controller continues to process such information thereafter. c. If a controller declines to take action regarding the consumer's request, the controller shall inform the consumer without undue delay, but not later than 45 days after receipt of the request, of the justification for declining to take action and instructions for how to appeal the decision.

Texto oficial (extracto) · verificado el 2026-08-01 · Lea el texto completo en nuestra biblioteca legal · Verifique en lis.njleg.state.nj.us

Oregon Revised Statutes, Chapter 646A: Trade Regulation

§ 646A.574Consumer requests for personal data; requirement to correct inaccuracies; requirement to delete personal data; conditions under which consumer may opt out of personal data processing; format for providing copy of personal data to consumerVigentecitada en 5 de nuestros artículos

(1) Subject to ORS 646A.576, a consumer may: (a) Obtain from a controller: (A) Confirmation as to whether the controller is processing or has processed the consumer’s personal data and the categories of personal data the controller is processing or has processed; (B) At the controller’s option, a list of specific third parties, other than natural persons, to which the controller has disclosed: (i) The consumer’s personal data; or (ii) Any personal data; and (C) A copy of all of the consumer’s personal data that the controller has processed or is processing; (b) Require a controller to correct inaccuracies in personal data about the consumer, taking into account the nature of the personal data and the controller’s purpose for processing the personal data; (c) Require a controller to delete personal data about the consumer, including personal data the consumer provided to the controller, personal data the controller obtained from another source and derived data; or (d) Opt out from a controller’s processing of personal data of the consumer that the controller processes for any of the following purposes: (A) Targeted advertising; (B) Selling…

Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en oregonlegislature.gov

§ 646A.578Duties of controller; prohibitions; privacy notice to consumerVigentecitada en 7 de nuestros artículos

(1) A controller shall: (a) Specify in the privacy notice described in subsection (4) of this section the express purposes for which the controller is collecting and processing personal data; (b) Limit the controller’s collection of personal data to only the personal data that is adequate, relevant and reasonably necessary to serve the purposes the controller specified in paragraph (a) of this subsection; (c) Establish, implement and maintain for personal data the same safeguards described in ORS 646A.622 that are required for protecting personal information, as defined in ORS 646A.602, such that the controller’s safeguards protect the confidentiality, integrity and accessibility of the personal data to the extent appropriate for the volume and nature of the personal data; and (d) Provide an effective means by which a consumer may revoke consent a consumer gave under ORS 646A.570 to 646A.589 to the controller’s processing of the consumer’s personal data. The means must be at least as easy as the means by which the consumer provided consent.

Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en oregonlegislature.gov

Rhode Island General Laws, Title 6: Commercial Law

§ 6-48.1-5Customer rights. [Effective January 1, 2026.]Vigentecitada en 7 de nuestros artículos

(a) This section shall apply to for-profit entities that conduct business in the state or for-profit entities that produce products or services that are targeted to residents of the state and that during the preceding calendar year did any of the following: (1) Controlled or processed the personal data of not less than thirty-five thousand (35,000) customers, excluding personal data controlled or processed solely for the purpose of completing a payment transaction. (2) Controlled or processed the personal data of not less than ten thousand (10,000) customers and derived more than twenty percent (20%) of their gross revenue from the sale of personal data. (b) No controller shall discriminate against a customer for exercising their customer rights. (c) No controller shall deny goods or services, charge different prices or rates for goods or services, or provide a different level of quality of goods or services to the customer if the customer opts out to use of their data. However, if a customer opts out of data collection, the covered entity is not required to provide a service that requires this data collection.

Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en webserver.rilegislature.gov

§ 6-48.1-6Exercising customer rights. [Effective January 1, 2026.]Vigentecitada en 6 de nuestros artículos

(a) This section shall apply to for-profit entities that conduct business in the state or for-profit entities that produce products or services that are targeted to residents of the state and that during the preceding calendar year did any of the following: (1) Controlled or processed the personal data of not less than thirty-five thousand (35,000) customers, excluding personal data controlled or processed solely for the purpose of completing a payment transaction. (2) Controlled or processed the personal data of not less than ten thousand (10,000) customers and derived more than twenty percent (20%) of their gross revenue from the sale of personal data. (b) A controller shall comply with a request by a customer to exercise the customer rights authorized as follows: (1) A controller shall respond to the customer without undue delay, but not later than forty-five (45) days after receipt of the request.

Texto oficial (extracto) · verificado el 2026-07-30 · Lea el texto completo en nuestra biblioteca legal · Verifique en webserver.rilegislature.gov

Texas Business & Commerce Code

§ 541.051CONSUMER'S PERSONAL DATA RIGHTS; REQUEST TO EXERCISE RIGHTSVigentecitada en 5 de nuestros artículos

(a) A consumer is entitled to exercise the consumer rights authorized by this section at any time by submitting a request to a controller specifying the consumer rights the consumer wishes to exercise. With respect to the processing of personal data belonging to a known child, a parent or legal guardian of the child may exercise the consumer rights on behalf of the child. (b) A controller shall comply with an authenticated consumer request to exercise the right to: (1) confirm whether a controller is processing the consumer's personal data and to access the personal data; (2) correct inaccuracies in the consumer's personal data, taking into account the nature of the personal data and the purposes of the processing of the consumer's personal data; (3) delete personal data provided by or obtained about the consumer; (4) if the data is available in a digital format, obtain a copy of the consumer's personal data that the consumer previously provided to the controller in a portable and, to the extent technically feasible, readily usable format that allows the consumer to transmit the data to another controller without hindrance; or (5) opt out of the processing of the personal…

Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en statutes.capitol.texas.gov

Citada en 1 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2025

Resoluciones que citan esta sección en nuestra colección:

State of Texas v. Arity 875, LLC (Texas Court of Appeals, 15th District 2025)“…10 Tex. Bus. & Com. Code § 541.051(b)(5) .................................…”

Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.

Utah Code, Title 13: Commerce and Trade

§ 13-61-201Consumer rights -- Access -- Deletion -- Portability -- Opt out of certain processing.Vigentecitada en 6 de nuestros artículos

(1) A consumer has the right to: (a) confirm whether a controller is processing the consumer's personal data; and (b) access the consumer's personal data. (2) A consumer has the right to delete the consumer's personal data that the consumer provided to the controller. (3) A consumer has the right to obtain a copy of the consumer's personal data, that the consumer previously provided to the controller, in a format that: (a) to the extent technically feasible, is portable; (b) to the extent practicable, is readily usable; and (c) allows the consumer to transmit the data to another controller without impediment, where the processing is carried out by automated means. (4) A consumer has the right to request that a controller correct inaccuracies in the consumer's personal data, taking into account the nature of the personal data and the purposes of the processing of the consumer's personal data. (5) A consumer has the right to opt out of the processing of the consumer's personal data for purposes of: (a) targeted advertising; or (b) the sale of personal data. (6) Nothing in this section requires a person to cause a breach of security system as defined in Section 13-44-102.

Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en le.utah.gov

Code of Virginia, Title 59.1: Trade and Commerce

§ 59.1-577Personal data rights; consumersVigentecitada en 9 de nuestros artículos

A. A consumer may invoke the consumer rights authorized pursuant to this subsection at any time by submitting a request to a controller specifying the consumer rights the consumer wishes to invoke. A known child's parent or legal guardian may invoke such consumer rights on behalf of the child regarding processing personal data belonging to the known child. A controller shall comply with an authenticated consumer request to exercise the right: 1. To confirm whether or not a controller is processing the consumer's personal data and to access such personal data; 2. To correct inaccuracies in the consumer's personal data, taking into account the nature of the personal data and the purposes of the processing of the consumer's personal data; 3. To delete personal data provided by or obtained about the consumer; 4. To obtain a copy of the consumer's personal data that the consumer previously provided to the controller in a portable and, to the extent technically feasible, readily usable format that allows the consumer to transmit the data to another controller without hindrance, where the processing is carried out by automated means; and 5.

Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en law.lis.virginia.gov

Citada en 1 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2025

Resoluciones que citan esta sección en nuestra colección:

Eweka (District Court, E.D. Virginia 2025)“…e the VCDPA protects consumer’s private personal data, see Va Code Ann. § 59.1-577, it explicitly gives Virginia’s Attorne…”

Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.

Busque en nuestro registro completo de la ley de EE. UU.: 2.1 millones de secciones, todos los estados y la ley federal →